PIVIT.WORK 개인정보 처리위탁계약서

시행일자: 2026-10-23

PIVIT.WORK 서비스를 이용하는 고객사(이하 "위탁자")와 주식회사 피빗(이하 "수탁자")은 위탁자가 수탁자의 PIVIT.WORK 서비스를 이용하면서 위탁자의 임직원 등의 개인정보 처리 업무를 수탁자에게 맡기는 것과 관련하여 다음과 같이 계약을 체결합니다.

제1조 (목적)

이 계약은 위탁자가 「개인정보 보호법」 제26조에 따라 개인정보 처리 업무를 수탁자에게 위탁하고, 수탁자가 이를 처리하는 데 필요한 사항과 양 당사자의 권리·의무를 정하는 것을 목적으로 합니다.

제2조 (정의)

1. "위탁자 데이터"란 위탁자 또는 위탁자의 구성원이 PIVIT.WORK 워크스페이스에 입력·생성하거나 협업툴 연동을 통해 가져온 업무·인사 데이터 중 개인정보에 해당하는 것을 말합니다. 계정·인증·결제 정보는 수탁자가 직접 개인정보처리자로서 처리하므로 위탁자 데이터에 포함되지 않습니다(「개인정보처리방침」 제0조).
2. "정보주체"란 위탁자 데이터로 식별되는 사람으로서, 위탁자의 임직원, 위탁자가 입력한 그 가족(부양가족 등), 위탁자의 회의에 참석한 외부인 등을 말합니다.
3. "재수탁자"란 수탁자로부터 위탁자 데이터의 처리 업무를 다시 위탁받은 자를 말합니다.
4. "유출등"이란 개인정보의 분실·도난·유출·위조·변조 또는 훼손을 말합니다.
5. "개인정보취급자"란 수탁자의 지휘·감독을 받아 위탁자 데이터를 처리하는 수탁자의 임직원 등을 말합니다.
6. "서비스", "워크스페이스", "관리자", "구성원", "AI 기능"은 「PIVIT.WORK 서비스 이용약관」 제2조의 정의에 따릅니다.

제3조 (위탁 업무의 목적 및 범위)

1. 위탁자는 수탁자에게 PIVIT.WORK 서비스 제공에 필요한 범위에서 위탁자 데이터의 수집·저장·조회·분석·생성· 전송·파기 업무를 위탁합니다.
2. 위탁 업무의 구체적인 목적, 처리하는 개인정보 항목, 정보주체의 범주는 별표 1과 같습니다.
3. 위탁자가 서비스 설정(협업툴 연동 범위, 녹음 보관 기간 등)을 바꾸면 그 설정이 위탁 범위에 대한 위탁자의 지시가 됩니다.

제4조 (처리 지시와 목적 외 처리 금지)

1. 수탁자는 이 계약, 이용약관, 서비스 설정을 통한 위탁자의 지시에 따라서만 위탁자 데이터를 처리합니다.
2. 수탁자는 위탁 업무의 범위를 넘어 위탁자 데이터를 이용하거나 제3자에게 제공하지 않습니다.
3. 수탁자는 위탁자 데이터를 위탁자 외의 고객사에 대한 서비스 제공, 수탁자 자신의 마케팅, 그리고 위탁자 서비스 제공과 무관한 인공지능 모델의 학습·개선에 이용하지 않습니다.
4. 법령에 따라 수사기관 등이 위탁자 데이터의 제공을 요구하는 경우, 수탁자는 법령이 금지하지 않는 한 그 사실을 위탁자에게 지체 없이 알리고 요구 범위를 최소화하도록 협조합니다.
5. 수탁자는 위탁자의 지시가 「개인정보 보호법」 등 법령을 위반한다고 판단하면 그 사실을 위탁자에게 알립니다.

제5조 (위탁자의 의무)

1. 위탁자는 위탁자 데이터를 수집·이용하고 수탁자에게 처리를 맡기는 데 필요한 법적 근거(정보주체의 동의 또는 「개인정보 보호법」 제15조제1항 각 호의 근거 등)를 스스로 확보합니다.
2. 위탁자는 위탁 업무의 내용과 수탁자 및 재수탁자를 자신의 개인정보 처리방침 등을 통해 정보주체가 언제든지 쉽게 확인할 수 있도록 공개합니다. 수탁자는 이를 위해 재수탁자 목록을 공개하고 최신으로 유지합니다(제8조).
3. 주민등록번호는 서비스에서 정보주체 본인이 입력하고 위탁자의 관리자는 열람만 합니다. 위탁자는 법령에서 구체적으로 처리를 요구하거나 허용하는 경우가 아니면 임직원에게 주민등록번호 입력을 요청하지 않고, 주민등록증 사본을 올리게 하지 않습니다. 민감정보(「개인정보 보호법」 제23조 — 장애 정보 등 건강에 관한 정보 포함)는 정보주체의 별도 동의 또는 법령상 근거가 있는 경우에만 입력합니다.
4. 위탁자는 수탁자가 제공하는 「임직원 고지 템플릿」을 참고할 수 있으나, 고지·동의의 적법성은 위탁자가 판단하고 책임집니다.

제6조 (안전성 확보 조치)

1. 수탁자는 「개인정보 보호법」 제29조, 같은 법 시행령 제30조 및 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시)에 따라 위탁자 데이터에 대해 별표 2의 기술적·관리적·물리적 조치를 합니다.
2. 수탁자는 별표 2의 조치를 낮추는 변경을 하려는 경우 미리 위탁자에게 알립니다.

제7조 (개인정보취급자 관리와 접근 제한)

1. 수탁자는 위탁자 데이터에 접근할 수 있는 개인정보취급자를 업무상 필요한 최소 인원으로 제한하고, 접근 권한을 역할별로 부여·변경·말소하며 그 기록을 남깁니다.
2. 수탁자는 개인정보취급자에게 비밀유지 의무를 지우고, 연 1회 이상 개인정보 보호 교육을 합니다.
3. 수탁자의 운영 담당자는 위탁자 구성원의 계정으로 로그인하거나 그 계정 권한으로 화면을 조회·조작하는 기능을 갖지 않습니다. 고객 지원을 위해서는 권한·플랜·기능 설정·오류 기록 등 진단에 필요한 정보만 조회합니다. 다만 위탁자가 요청하거나 위탁자에 대한 지원에 필요한 경우에 한하여 위탁자 구성원 명부를 내보낼 수 있으며, 그 반출은 제4항의 접속기록에 남깁니다.
4. 수탁자의 운영 담당자가 위탁자 데이터를 조회·내보내기·삭제한 경우 그 접속기록을 남기고 위탁자가 요청하면 제공합니다.

제8조 (재위탁)

1. 위탁자는 이 계약 체결 시점에 공개된 재수탁자 목록(별표 3)의 재수탁자에게 위탁자 데이터의 처리 업무를 다시 위탁하는 것에 동의합니다. 이 동의에는 별표 3에 「사용 가능(현재 미사용)」으로 표시된 재수탁자와 기능을 포함합니다. 수탁자가 별표 3 안에서 재수탁자의 사용 상태만 바꾸는 경우(이하 "목록 안 전환"이라 합니다)에는 제2항부터 제4항까지를 적용하지 않으며, 수탁자는 별표 3의 사용 상태를 갱신하고 위탁자의 관리자에게 이메일과 서비스 내 공지로 알립니다. 목록 안 전환은 별표 3의 해당 행에 적힌 처리 항목과 목적의 범위에서만 할 수 있습니다.
2. 수탁자는 별표 3에 없는 재수탁자를 추가하거나 변경하려는 경우(별표 3에 적힌 것 밖의 처리 항목·목적을 재수탁자에게 맡기는 경우를 포함합니다) 그 적용일 30일 전까지 위탁자의 관리자에게 이메일과 서비스 내 공지로 알립니다. 통지에는 재수탁자의 명칭, 처리하는 위탁자 데이터 항목, 처리 목적, 처리 국가, 관련 기능을 포함하고, 「통지를 받은 날부터 14일 안에 이의를 제기하지 않으면 해당 재위탁에 동의한 것으로 봅니다」라는 뜻을 통지의 다른 내용과 따로 구분하여 명확하게 적습니다.
3. 위탁자는 통지를 받은 날부터 14일 안에 합리적인 사유를 들어 서면(전자우편 포함)으로 이의를 제기할 수 있습니다. 제2항에 따라 그 뜻을 따로 알린 통지에 대하여 이의 기간 안에 이의가 없으면 위탁자가 해당 재위탁에 동의한 것으로 봅니다.
4. 위탁자가 이의를 제기하면 수탁자는 다음 중 하나를 위탁자와 협의하여 택합니다.
   • 해당 재수탁자를 위탁자 데이터에 쓰지 않는 대안 제공
   • 해당 재수탁자가 관여하는 기능을 위탁자 워크스페이스에서 쓰지 않도록 하는 조치
   • 위탁자가 이용계약을 위약금 없이 해지하고 남은 이용 기간의 요금을 환불받는 것
5. 보안 사고·재수탁자의 서비스 종료 등 긴급한 사유로 사전 통지가 불가능한 경우, 수탁자는 교체 후 지체 없이 제2항의 사항(이의하지 않으면 동의한 것으로 본다는 뜻 포함)을 알리고 제3항의 이의 기간은 통지를 받은 날부터 셉니다.
6. 수탁자는 재수탁자와 이 계약과 같은 수준 이상의 개인정보 보호 의무(목적 외 처리 금지, 안전성 확보 조치, 재위탁 제한, 유출 통지, 반환·파기)를 문서로 정하고, 재수탁자의 행위에 대해 위탁자에게 자신의 행위와 같은 책임을 집니다.
7. 수탁자는 재수탁자를 별표 3에서 빼려는 경우 그 재수탁자에게 맡긴 위탁자 데이터가 파기되었는지 확인한 뒤 빼고, 별표 3의 변경 이력에 기록하여 위탁자의 관리자에게 알립니다.

제9조 (국외 이전)

1. 수탁자는 별표 3에 「국외」로 표시된 재수탁자에게 위탁자 데이터를 이전(조회되는 경우 포함)할 수 있습니다.
2. 수탁자는 국외 이전과 관련하여 「개인정보 보호법」 제28조의8제2항 각 호의 사항(이전 항목, 국가·시기·방법, 이전받는 자의 명칭·연락처, 이용 목적·보유 기간, 거부 방법·절차·효과)을 재수탁자 목록에 공개하여 위탁자가 정보주체에게 알리거나 동의를 받는 데 쓸 수 있도록 합니다.
3. 수탁자는 같은 법 시행령 제29조의10에 따라 이전받는 자와 안전성 확보 조치, 고충처리·분쟁해결 조치 등을 미리 협의하고 계약 내용에 반영합니다.
4. 국외 이전의 법적 근거(별도 동의 또는 같은 법 제28조의8제1항제3호 등)를 정보주체와의 관계에서 확보하는 것은 위탁자의 의무입니다. 위탁자가 특정 국외 재수탁자로의 이전을 원하지 않으면 제8조제4항의 조치를 요청할 수 있습니다.

제10조 (AI 기능에 관한 특약)

1. 수탁자는 AI 기능을 이용자가 명시적으로 실행한 경우에 그 기능에 필요한 범위의 위탁자 데이터만 AI 재수탁자에게 전송합니다. 이용자의 실행 없이 동작하는 AI 처리가 있으면 그 기능과 전송 항목을 별표 1에 적습니다.
2. 수탁자는 퇴사 등으로 표시명이 가려진 사람의 이름을 가려진 상태로 전송하고, 요청한 이용자에게 열람 자격이 없는 기록을 AI 입력에 넣지 않습니다.
3. 수탁자는 AI 재수탁자가 위탁자 데이터를 자신의 모델 학습에 쓰지 않는 조건으로 계약합니다.
4. AI 기능이 생성한 초안·요약·추천은 이용자가 확인하기 전까지 「미확인」으로 표시되며, 인사·평가·보상에 관한 최종 결정은 위탁자의 사람이 합니다.
5. 위탁자는 AI 기능의 결과물만으로 구성원의 권리·의무(평가 등급, 보상, 승진 등 인사에 관한 결정을 포함합니다)를 결정하지 않습니다. 수탁자는 AI 의 점수·등급 제안이 이용자가 직접 선택·입력해야 제출되도록 하고, 여러 건을 한꺼번에 승인하는 기능을 두지 않습니다.
6. 수탁자는 평가 모듈의 AI 기능(평가 초안·점수 제안, 하향 평가의 참고 등급 제안, 평가 관련 생성, 캘리브레이션 코멘트, 평가 피드백 감성 분석)을 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」 제2조제4호의 고영향 인공지능에 해당하는 것으로 보고 같은 법 제34조제1항의 조치를 이행하며, 위탁자가 구성원에게 그 기능의 주요 기준, 사람의 관리·감독 방식, 이의 제기 방법을 알릴 수 있도록 필요한 자료를 제공합니다. 같은 법 제33조에 따른 과학기술정보통신부장관의 확인 결과 해당하지 않는 것으로 회신되면 수탁자는 이 항의 조치를 위탁자에게 알리고 조정할 수 있습니다.

제11조 (정보주체 권리 행사 협조)

1. 위탁자 데이터에 대한 정보주체의 열람·정정·삭제·처리정지 요구와 동의 철회는 위탁자가 접수하고 처리합니다.
2. 수탁자가 정보주체로부터 위탁자 데이터에 관한 요구를 직접 받으면 지체 없이 위탁자에게 전달하고, 정보주체에게 위탁자가 접수 창구임을 안내합니다.
3. 수탁자는 위탁자가 권리 행사 요구에 법정 기한(요구를 받은 날부터 10일) 안에 답할 수 있도록 서비스 기능 또는 요청 처리로 협조하며, 위탁자의 지시를 받은 날부터 3일 안에 조치하고 결과를 알립니다.

제12조 (유출등의 통지와 대응)

1. 수탁자는 위탁자 데이터의 유출등을 알게 되었을 때 지체 없이, 늦어도 알게 된 때부터 24시간 안에 위탁자에게 알립니다. 통지에는 그 때까지 확인된 다음 사항을 포함하고, 추가로 확인되는 내용은 확인 즉시 알립니다.

   • 유출등이 된 항목과 대상 정보주체의 범위·수
   • 유출등이 된 시점과 경위
   • 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법
   • 수탁자의 대응 조치, 그리고 수탁자가 제공할 수 있는 피해 구제 절차(예: 비밀번호 재설정, 연동 토큰 폐기 등 서비스 안에서 정보주체가 할 수 있는 조치)
   • 정보주체의 신고를 받을 수탁자의 담당 부서와 연락처

2. 수탁자는 유출등의 확산을 막는 조치(접속 경로 차단, 취약점 보완, 유출된 정보의 회수·삭제 등)를 즉시 하고, 위탁자가 정보주체 통지와 개인정보보호위원회 또는 한국인터넷진흥원 신고를 기한 안에 할 수 있도록 필요한 자료를 제공합니다.

3. 정보주체 통지와 신고는 위탁자가 합니다. 위탁자가 요청하면 수탁자가 위탁자 명의의 통지를 대행할 수 있습니다. 위탁자와 연락이 닿지 않거나 위탁자가 법정 기한 안에 신고하지 않을 우려가 있으면, 수탁자는 위탁자에게 그 사실을 알린 뒤 개인정보보호위원회 또는 한국인터넷진흥원에 직접 신고할 수 있습니다.

4. 수탁자는 유출등의 원인 분석 결과와 재발 방지 대책을 위탁자에게 제출합니다.

5. 제1항의 통지 의무는 유출등의 가능성이 있음을 알게 된 경우에도 적용합니다.

제13조 (관리·감독과 점검)

1. 위탁자는 수탁자가 위탁자 데이터를 안전하게 처리하는지 감독하기 위하여 연 1회 수탁자에게 다음 자료를 요청할 수 있으며, 수탁자는 요청일부터 30일 안에 제출합니다.
   • 별표 2 조치의 이행 현황
   • 위탁자 데이터에 접근한 수탁자 개인정보취급자의 접속기록 요약
   • 재수탁자 목록과 변경 이력
   • 개인정보 보호 교육 실시 내역
   • 보유 중인 제3자 인증(예: ISMS-P 등)이 있으면 그 사본
2. 유출등이 발생했거나 제1항 자료로 확인할 수 없는 중대한 우려가 있으면 위탁자는 사전에 협의한 일정·범위에서 수탁자 사업장에 대한 현장 점검을 할 수 있습니다. 다른 고객사의 데이터와 수탁자의 영업비밀은 점검 대상에서 제외합니다.
3. 위탁자는 점검 결과 시정이 필요한 사항을 수탁자에게 요구할 수 있고, 수탁자는 특별한 사유가 없으면 이에 따릅니다.
4. 수탁자는 위탁자가 법령에 따라 수탁자를 교육·감독하는 데 협조합니다.

제14조 (계약 종료 시 반환과 파기)

1. 이용계약이 해지·만료 등으로 종료되면 수탁자는 위탁자 데이터의 처리를 중단합니다. 유료 구독 해지는 결제 중단이며, 그것만으로 이용계약이 종료되지는 않습니다(이용약관 제9조제3항·제10조제2항 — 무료 플랜 전환 시 데이터 보존).

2. 위탁자는 이용계약 종료일부터 30일 안에 위탁자 데이터를 반환받을 것을 요청할 수 있습니다.

3. 수탁자는 제2항의 반환 요청 기간이 끝나면(그 전에 반환을 마친 경우에는 반환을 마친 때) 지체 없이 위탁자 데이터를 복구·재생할 수 없도록 파기하며, 백업 매체에 남은 것을 포함하여 이용계약 종료일부터 90일이 지나기 전에 파기를 마칩니다. 삭제 표시만 하고 복구할 수 있는 상태로 두는 것은 파기로 보지 않습니다. 이 기간은 「개인정보처리방침」 제3조의 「업무·인사 데이터: 계약 종료 후 90일」과 같습니다.

4. 수탁자는 백업 매체에 남은 위탁자 데이터를 60일 이하의 백업 순환 주기에 따라 순차적으로 파기하여 제3항의 기간 안에 파기를 마치며, 그동안 백업 데이터를 복구 외의 목적으로 처리하지 않습니다.

5. 수탁자는 파기를 마친 후 위탁자가 요청하면 파기 일시·대상 범위·방법을 적은 파기 확인서를 제공합니다.

6. 수탁자가 직접 개인정보처리자로서 법령에 따라 보존하는 정보(결제·거래 기록 5년 등)는 이 조의 파기 대상이 아니며 「개인정보처리방침」에 따릅니다.

7. 위탁자는 종료 전에 서비스 내 설정으로 위탁자 데이터의 삭제를 지시할 수 있으며, 수탁자는 그 지시에 따릅니다.

제15조 (보유 기간)

1. 이용계약 유지 중 위탁자 데이터의 보유 기간 기본값은 별표 1의 2와 같습니다. 위탁자는 별표 1의 2 에 단축 방법이 적힌 데이터에 한하여 서비스 설정으로 이를 단축할 수 있으며, 수탁자는 기본값보다 긴 기간으로 보관하지 않습니다.
2. 이용계약이 종료되면 제1항의 기간(성과평가 데이터의 「평가 사이클 종료 후 3년」을 포함합니다)이 남아 있더라도 제14조에 따라 파기합니다. 법령에 따라 보존이 필요한 위탁자는 이용계약 종료 전에(늦어도 제14조제2항의 기간 안에) 위탁자 데이터를 반환받아 보관합니다.

제16조 (손해배상)

1. 수탁자가 이 계약 또는 「개인정보 보호법」을 위반하여 위탁자 또는 정보주체에게 손해가 발생한 경우 수탁자는 그 손해를 배상합니다. 재수탁자의 위반은 수탁자의 위반으로 봅니다.
2. 위탁자가 수탁자의 귀책사유로 인하여 정보주체 등에게 손해를 배상한 경우 위탁자는 수탁자에게 구상할 수 있습니다.
3. 위탁자가 제5조를 위반하여 수탁자에게 손해가 발생한 경우 위탁자가 그 손해를 배상합니다.
4. 이 조에 따른 수탁자의 손해배상 책임은 손해 발생 직전 12개월 동안 위탁자가 수탁자에게 실제로 지급한 이용료 총액과 100만원 중 큰 금액을 한도로 합니다. 다만 다음 각 호의 손해에는 한도를 적용하지 않습니다.
   • 수탁자, 재수탁자, 그 이행보조자 또는 피고용자의 고의 또는 중대한 과실로 인한 손해
   • 수탁자(재수탁자 포함)가 「개인정보 보호법」 등 개인정보 관련 법령을 위반하여, 위탁자가 정보주체에게 배상한 금액에 대한 제2항의 구상

제17조 (비밀유지)

1. 양 당사자는 이 계약의 이행 과정에서 알게 된 상대방의 영업상 비밀 정보를 계약 기간 중과 종료 후 3년간 제3자에게 누설하지 않습니다.
2. 수탁자(재수탁자를 포함합니다)가 이 계약의 이행 과정에서 알게 된 위탁자 데이터(개인정보)에 관한 비밀유지 의무는 기간의 제한 없이 이 계약이 종료된 뒤에도 존속합니다.
3. 법령에 따른 제공은 제1항과 제2항의 예외로 합니다.

제18조 (계약 기간)

이 계약은 위탁자가 동의(또는 서명)한 날부터 효력이 생기며, 이용계약이 종료되고 제14조의 반환·파기가 끝날 때까지 유효합니다. 제12조, 제16조, 제17조는 그 이후에도 효력을 가집니다.

제19조 (우선순위)

위탁자 데이터의 처리에 관하여 이 계약과 이용약관이 다르면 이 계약이 우선합니다. 별도 서명본과 표준안이 다르면 별도 서명본이 우선합니다.

제20조 (준거법과 관할)

이 계약은 대한민국 법률에 따르며, 분쟁은 「민사소송법」에 따른 관할 법원에서 해결합니다.

별표 1. 위탁 업무와 처리 항목

1-1. 업무·항목·정보주체

AI 제공사 — AI 기능은 별표 3의 「사용 가능한 AI 제공사」 중 하나 이상이 처리합니다. 위탁자는 이 계약을 맺을 때 그 목록 전체에 대한 재위탁에 미리 동의하며(제8조제1항), 목록 안에서 제공사가 바뀌면 수탁자는 별표 3의 사용 상태를 갱신하고 알립니다.

사람이 실행하지 않아도 동작하는 처리 (제10조제1항이 요구하는 기재)

처리	언제	전송 항목
1on1 요약·의사결정·액션아이템 추출	STT 완료 후 자동	전사문, 참여자(이름·역할), 아젠다, 진행 시간
회의록 요약	회의 종료 버튼 클릭 시 자동	전사문, 회의 제목·참석자·시간
1on1 발언별 감정·뉘앙스 분석	1on1 종료 후 STT 에 이어 자동	발언별 전사 결과
SBI 형식 판정 (피드백 품질 분류)	피드백 발송 시 1회 · 사람 확인 없음 · 결과가 매니저 활동 점수 품질 20% 로 들어갑니다	피드백 본문
Weekly Digest (주간 요약)	매주 금요일 오후 6시 자동 생성 (수동 재생성 버튼도 있음)	한 주의 스니핏(아쉬웠던 점 포함)
스니핏 자동 초안 (후속 단계)	구성원 본인이 켠 경우에만, 본인이 고른 시각	그날 Jira·GitHub 활동(이슈 제목·상태, 커밋 메시지 첫 줄, PR 제목)

1-2. 보유 기간 기본값 (이용계약 유지 중)

별표 2. 안전성 확보 조치

별표 3. 재수탁자 목록

수탁자가 https://pivit.work/subprocessors 에 게시하는 「재수탁자 목록」을 이 별표로 편입합니다. 변경은 제8조의 절차를 따릅니다.

별표 3은 재수탁자마다 「현재 사용」과 「사용 가능(현재 미사용)」을 구분해 적습니다. 위탁자는 이 계약을 맺을 때 「사용 가능(현재 미사용)」으로 표시된 재수탁자와 기능을 포함한 별표 3 전체에 미리 동의합니다(제8조제1항). 별표 3 안에서 사용 상태만 바뀌는 목록 안 전환은 제8조제1항에 따라 알리고, 별표 3에 없는 재수탁자를 더하는 것은 제8조제2항부터 제4항까지의 절차를 따릅니다.